NIS2-Richtlinie
IT-Sicherheit
Wir unterstützen Sie bei der Erfüllung Ihrer Verpflichtungen aus der NIS2-Richtlinie
Was ist die NIS2-Richtlinie und wann tritt sie in Kraft?
NIS2 ist eine aktualisierte Fassung der Richtlinie zur Netz- und Informationssicherheit (NIS) von 2016. Sie erweitert den Geltungsbereich der bestehenden Rechtsvorschriften und führt neue Maßnahmen zur Stärkung und Sicherung des europäischen Cyberraums ein. Die EU-Mitgliedstaaten müssen diese Richtlinie in ihre Rechtssysteme einbeziehen.
Urheber des Cybersicherheitsgesetzes (ZoKB) ist das Nationale Büro für Cyber- und Informationssicherheit (NCIS), das eine einjährige Übergangsfrist bis Mitte 2025 vorsieht, um Unternehmen und Organisationen genügend Zeit für die Vorbereitung und Einhaltung der neuen Anforderungen zu geben.
Die NIS2-Richtlinie gilt ab Januar 2023, und die EU-Mitgliedstaaten müssen die Richtlinie bis spätestens 17. Oktober 2024 in nationales Recht umsetzen.
Wer wird von der NIS2-Richtlinie betroffen sein?
Das neue Cybersicherheitsgesetz wird mehr als 6 500 private und öffentliche Unternehmen und Organisationen betreffen, die neue Verpflichtungen haben werden. Die Nichteinhaltung dieser Verpflichtungen kann zu saftigen Geldstrafen von bis zu 250 Millionen CZK oder 2 % des Jahresumsatzes einer Organisation führen.
Die NIS2-Richtlinie betrifft 60 Dienstleistungen in 18 verschiedenen Sektoren wie öffentliche Verwaltung, Verkehr, Energie, Wasser, Bank- und Finanzdienstleistungen, Postdienste, Lebensmittel und Forschung. Der Gesetzesentwurf bezieht sich auf so genannte regulierte Dienstleistungen, deren vollständige Liste in der Verordnung über regulierte Dienstleistungen enthalten ist. https://osveta.nukib.gov.cz/local/dashboard/
Die Unternehmen beurteilen selbst, ob sie die Kriterien eines regulierten Dienstleisters in der so genannten Selbstbestimmung erfüllen. Wenn ja, müssen sie sich bei der NUCIB registrieren lassen.
Als Hilfe zur Selbstbestimmung können wir zwei grundlegende Kriterien anwenden:
- Die Organisation erbringt mindestens eine der im Gesetz aufgeführten regulierten Dienstleistungen.
- Die Organisation hat einen Jahresumsatz von 250 Millionen oder mehr oder beschäftigt mindestens 50 Mitarbeiter.
Welche Änderungen bringt die NIS2-Richtlinie?
- Definiert ein breiteres Spektrum an regulierten Diensten: Das neue Gesetz gilt für neue regulierte Unternehmen und weitet seinen Geltungsbereich auf andere Systeme und Dienste von Organisationen aus, die bereits unter das bestehende Cybergesetz von 2014 fallen.
- Meldung von Vorfällen: Die Meldung von Cyber-Vorfällen an die Nationale Informationsstelle für Computerkriminalität (NCIB) oder das nationale CERT ist bereits durch die geltenden Rechtsvorschriften abgedeckt, aber nun gilt diese Verpflichtung für eine größere Anzahl von Unternehmen. Darüber hinaus wird die Verpflichtung hinzugefügt, die Nutzer des Dienstes über den Vorfall zu informieren.
- Datenspeicherung: Für Organisationen, die dem höheren Zollsatz unterliegen, verlangt die NUCIB eine primäre Datenspeicherung in der Tschechischen Republik, mit der Möglichkeit einer verschlüsselten Datenspeicherung in anderen EU, NATO oder OECD-Ländern.
- Erhöhte Anforderungen an die Sicherheit der Lieferkette: Der Gesetzesentwurf sieht eine Verpflichtung zum aktiven Management der Cybersicherheit bei der Auswahl von Lieferanten vor und stellt Anforderungen an den Inhalt von Verträgen, die Bewertung von Sicherheitsmaßnahmen und die regelmäßige Überwachung von Lieferanten.
- Bußgelder: Der Gesetzentwurf sieht härtere Geldstrafen vor, die bis zu 250 Millionen oder 2 % des Nettoumsatzes des letzten Geschäftsjahres betragen können.
- Verantwortlichkeiten und Rechenschaftspflicht der Führungsebene: NIS2 erhöht die Verantwortung der obersten Führungsebene der Organisation für die Cybersicherheit und die Einhaltung der Gesetze.
- Einführung eines Mindestsicherheitsstandards: Einsetzung eines Teams, das für die Genehmigung und Überwachung von Cybersicherheitsmaßnahmen zuständig ist.
Wie kann Evenir Sie bei der Vorbereitung auf die NIS2 unterstützen?
- Analyse der Auswirkungen der Richtlinie auf die Organisation und Bestandsaufnahme der aktuellen Situation
- Wir überprüfen IT-Infrastruktur, Anwendungen oder Netzwerksysteme
- Wir werden einen Plan für die Umsetzung der Maßnahmen entwickeln und sie anwenden
- Wir unterstützen Sie bei der Kommunikation mit der NUCIB, bei der Registrierung von regulierten Dienstleistungen und bei der Meldung von Vorfällen.
- Wir bereiten die Dokumentation vor und helfen Ihnen bei der Einrichtung der entsprechenden Prozesse